1. 课程导入

在智能网联汽车电子电气架构中，微控制器（MCU）是动力、底盘、车身与网关域控制器的核心计算单元。RH850 系列作为瑞萨面向车载高安全场景的 32 位 MCU 家族，广泛应用于 VCU、BMS、EPS、ADAS 域控等对功能安全与信息安全同时提出高要求的控制器中。本课程围绕 RH850 平台，系统讲解车载安全软件与可信启动工程的完整知识体系，帮助学习者建立从"芯片信任根"到"应用可信运行"的全链路工程能力。

一、学习目标：从三个维度建立能力

本课程的学习目标可归纳为"懂原理、会配置、能验证"三个层次。第一层是理解可信启动的密码学基础与安全启动链模型，掌握信任根（RoT）、度量、验证、授权与执行的核心概念；第二层是能够在 RH850 平台上完成安全启动配置，包括启动模式选择、安全属性设置、密钥与证书管理、镜像签名与校验流程；第三层是具备工程验证与问题定位能力，能够通过日志、调试接口与测试用例复现并排查启动失败、签名校验失败、回滚异常等典型问题。

二、核心概念：信任根、信任链与安全启动

可信启动的本质是"以不可篡改的起点，逐级验证后续代码的完整性与真实性"。在 RH850 上，这个起点通常由芯片内部的 Boot ROM 或硬件安全模块（如 ICU-M、Security Core）承担，它固化在硅片中，无法被外部修改，因此成为信任根。信任根首先验证第一级引导程序（如 Flash Loader 或 Primary Boot），验证通过后再由它验证下一级，形成一条逐级传递的信任链。

需要区分三个容易混淆的概念：安全启动（Secure Boot）强调启动过程中的密码学验证，确保只有合法镜像可以运行；可信启动（Trusted Boot）强调对启动过程进行度量与记录，形成可审计的信任证据；可信执行环境（TEE）则关注运行时的隔离与保护。三者互补，共同构成车载安全软件的基础。

三、整体知识框架：四层结构

本课程的知识框架可以划分为四层。第一层是硬件与信任根层，涉及 RH850 的启动模式、Boot ROM、安全启动使能、密钥存储与防篡改机制；第二层是启动与引导层，涉及 Primary Boot、Flash Loader、镜像格式、签名与校验流程；第三层是安全软件层，涉及 AUTOSAR 安全模块、密钥管理、安全通信、诊断安全访问；第四层是工程与合规层，涉及 ISO 21434、ISO 26262、安全刷写规范、量产密钥注入与审计。

四、工程实践路线：从环境搭建到量产验证

工程实践建议按以下路线推进，避免一开始就陷入复杂配置。

1. 环境准备：安装 RH850 编译工具链、调试器驱动与烧录工具，确认目标板可正常连接。
2. 最小启动验证：先跑通不带安全校验的启动流程，确认时钟、Flash、串口输出正常。
3. 启用安全启动：配置安全启动使能位，生成密钥对，对镜像签名并烧录，观察校验结果。
4. 构建信任链：逐级增加被验证镜像，确保每一级都能正确校验下一级。
5. 集成安全刷写：通过 UDS 或 OTA 通道完成安全刷写，验证签名、版本与回滚策略。
6. 故障注入与复盘：人为破坏镜像、篡改签名、回滚版本，观察系统行为并记录日志。

# 典型镜像签名与校验命令示意
sign_tool --key priv_rsa2048.pem \
          --in  app_v1.2.bin \
          --out app_v1.2.signed.bin \
          --hash sha256

verify_tool --cert pub_cert.pem \
            --in   app_v1.2.signed.bin \
            --expect-hash 3f9a...c21d

五、常见误区与复盘要点

初学者最容易出现的误区有三个。第一，把"能启动"等同于"安全启动成功"，忽略了校验失败时的降级路径是否被正确阻断；第二，密钥管理随意，开发阶段使用测试密钥却未在量产前替换，导致信任根形同虚设；第三，只关注启动阶段，忽略运行时的安全监控与刷写通道保护，使攻击者可以通过诊断接口绕过启动校验。